Örnsköldsviks kommun. Granskning av hantering av sekretess och skyddade identiteter

Revisionsrapport 2017 Genomförd på uppdrag av revisorerna mars 2018 Örnsköldsviks kommun Granskning av hantering av sekretess och skyddade identiteter

Innehåll 1. Sammanfattning... 2 2. Inledning... 3 2.1. Bakgrund... 3 2.2. Syfte... 3 2.3. Revisionsfrågor... 3 2.4. Avgränsning... 3 2.5. Genomförande... 4 3. Revisionskriterier... 4 3.1. Kommunallagen... 4 3.2. Offentlighets- och sekretesslagen... 4 3.3. Skatteverkets vägledning för hantering av sekretessmarkerade personuppgifter i offentlig förvaltning... 5 3.4. Personuppgiftslagen... 5 3.5. Socialtjänstlagen... 6 3.6. Socialstyrelsens Sekretess och tystnadsplikt inom socialtjänsten och hälso- och sjukvården... 6 3.7. Datainspektionens checklista för skolor... 6 4. Granskningsresultat... 7 4.1. Är ansvars- och arbetsfördelningen tydlig?... 7 4.2. Finns tillräckliga riktlinjer och rutiner för att hindra att skyddade identiteter röjs eller hanteras med risker?... 8 4.3. Finns säkra rutiner för att kommunicera med och om personer med skyddad identitet?...10 4.4. Görs riskbedömning av hantering av personuppgifter från fall till fall?...11 4.5. Är åtkomsten till skyddade personuppgifter tydligt begränsad?...12 4.6. Framgår tydligt i de fall personuppgifter är skyddade?...14 4.7. Har överföring och spridning av skyddade personuppgifter mellan IT-system kontrollerats?...14 4.8. Har tillräckligt hög IT-säkerhet säkerställts?...16 4.9. Har tillräcklig information och utbildning av aktuell personal säkerställts?...17 4.10. Är det möjligt att i efterhand kontrollera åtkomst av skyddade personuppgifter?.18 4.11. Sker en regelbunden uppföljning av verksamhetens följsamhet till riktlinjer och rutiner? 19 5. Rekommendationer...20 Bilaga 1: Källförteckning...22 1

1. Sammanfattning EY har på uppdrag av de förtroendevalda revisorerna i Örnsköldsviks kommun genomfört en granskning av hantering av sekretess och skyddade identiteter. Syftet med granskningen har varit att bedöma om personuppgifter för personer med skyddad identitet hanteras på ett ändamålsenligt sätt och med tillräcklig intern kontroll. Vår sammanfattande bedömning är humanistiska nämnden, omsorgsnämnden och bildningsnämnden i viss utsträckning hanterar personuppgifter för personer med skyddade identitet på ett ändamålsenligt sätt. Granskningen visar att de granskade nämnderna har riktlinjer respektive rutiner för att hantera skyddade personuppgifter, och att dessa i huvudsak omfattar väsentliga områden. För omsorgsnämnden och humanistiska nämnden ingår området i det systematiska kvalitetsarbete som bedrivs enligt SOSFS 2011:9. Vi bedömer att den interna kontrollen vid hantering av skyddade personuppgifter kan utvecklas för samtliga granskade nämnder. Bedömningen baseras på att det saknas avsnitt som reglerar uppföljning och utvärdering i de befintliga riktlinjer och rutiner som tillämpas inom verksamheterna. Vidare framgår av granskningen det i liten utsträckning genomförs kontroller av rutinernas efterlevnad. Detta är enligt oss en brist. Vi rekommenderar samtliga granskade nämnder att: Säkerställa att styrande dokument inom området är heltäckande, vilket innefattar avsnitt om uppföljning och kontroll. Säkerställa att det finns en systematik i den utbildning och information som ges till anställda inom området Säkerställa att kontroller av efterlevnaden av styrande dokument görs och dokumenteras. Detta omfattar en systematisk struktur för kontroll av loggar. Säkerställ en tydlig återrapportering av kontroller till respektive nämnd. Detta för att säkerställa en ändamålsenlig struktur för intern kontroll. Vi rekommenderar humanistiska nämnden att: Överväg att förtydliga hur riskbedömningar görs och dokumenteras vid hantering av skyddade personuppgifter. Säkerställ att nämndsledamöter tar del av handlingar på ett sådant sätt som inte riskerar att skyddade uppgifter röjs. Överväg andra distributionsformer av sekretessbelagda handlingar till nämndsledamöter vid utskick av handlingar. Vi rekommenderar omsorgsnämnden att: Överväg att förtydliga hur riskbedömningar görs och dokumenteras vid hantering av skyddade personuppgifter Vi rekommenderar bildningsnämnden att: Se över rutiner för samverkan som innefattar skyddade personuppgifter såväl med interna som externa aktörer 2

2. Inledning 2.1. Bakgrund Enligt 22 kap. 1 offentlighets- och sekretesslagen är uppgifter inom folkbokföringen som regel offentliga. Sekretess gäller om det av särskild anledning kan antas att en person eller någon närstående kan lida skada eller men, om uppgifter om personen lämnas ut. Skyddad identitet används för att skydda personer som är utsatta för ett konkret och allvarligt hot. Skyddade personuppgifter används av Skatteverket som en samlingsrubrik för skyddsåtgärderna sekretessmarkering, kvarskrivning och fingerade personuppgifter. Inom flera kommunala verksamheter hanteras personuppgifter och sekretessbelagd information inom ramen för myndighetsutövning. För en person med skyddad identitet riskerar felaktig hantering eller utlämning av identitet att få stora konsekvenser, tex hot mot liv eller hälsa. Samtidigt måste myndigheter i vissa fall lämna uppgifter till andra myndigheter för att dessa ska kunna utföra sitt uppdrag och även samverka med andra myndigheter som en del i sitt arbete. Det är då angeläget att rutiner för att hantera skyddad identitet fungerar även i samverkan. Kommunrevisionen har mot bakgrund av sin risk- och väsentlighetsanalys beslutat att göra en fördjupad granskning av kommunens hantering av sekretessbelagd information och skyddade identiteter. 2.2. Syfte Syftet med granskningen är att bedöma om personuppgifter för personer med skyddad identitet hanteras på ett ändamålsenligt sätt och med tillräcklig intern kontroll. 2.3. Revisionsfrågor I granskningen ska följande revisionsfrågor besvaras: Är ansvars- och arbetsfördelningen tydlig? Finns tillräckliga riktlinjer och rutiner för att hindra att skyddade identiteter hanteras med risker eller röjs? Görs riskbedömning av hantering av personuppgifter från fall till fall? Är åtkomsten till skyddade personuppgifter starkt begränsad? Framgår tydligt i de fall personuppgifter är skyddade? Har överföring och spridning av skyddade personuppgifter mellan IT-system kontrollerats? Har tillräcklig information och utbildning av aktuell personal säkerställts? Finns säkra rutiner för att kommunicera med och om personer med skyddad identitet? Har tillräckligt hög IT-säkerhet säkerställts? Är det möjligt att i efterhand kontrollera åtkomst av skyddade personuppgifter? Sker en regelbunden uppföljning av verksamhetens följsamhet till riktlinjer och rutiner? 2.4. Avgränsning Granskningen omfattar bildningsnämnden, humanistiska nämnden samt omsorgsnämnden. 3

2.5. Genomförande Granskningen genomförs genom dokumentstudier och intervjuer. Intervjuer har genomförts med bl.a. personuppgiftsombud, avdelningschef för social utredning, biträdande avdelningschef för social utredning, handläggare, elevhälsochef samt administrativ chef. Samtliga intervjuade har givits möjlighet att sakgranska rapportutkastet. 3. Revisionskriterier Med revisionskriterier avses bedömningsgrunder som används i granskningen för analyser, slutsatser och bedömningar. Revisionskriterierna kan hämtas från lagar och förarbeten eller interna regelverk, policyer beslutade av fullmäktige. Kriterier kan också ha sin grund i jämförbar praxis eller erkänd teoribildning. I granskningen utgörs revisionskriterierna av: 3.1. Kommunallagen I kommunallagens 6 kap. 7 fastställs att nämnderna är ytterst ansvariga för att den interna kontrollen är tillräcklig. Nämnderna skall var och en inom sitt område se till att verksamheten bedrivs i enlighet med de mål och riktlinjer som fullmäktige har bestämt samt de föreskrifter som gäller för verksamheten. De skall också se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredsställande sätt. 3.2. Offentlighets- och sekretesslagen Bestämmelser om myndigheters ansvar avseende sekretess och hantering regleras i offentlighets- och sekretesslagen. Av 2 kap. 2 OSL framgår att vad som föreskrivs i andra bestämmelser i denna lag om uppgiftslämnande till andra myndigheter och överföring av sekretess mellan myndigheter, gäller också mellan olika verksamhetsgrenar inom en myndighet när de är att betrakta som självständiga i förhållande till varandra. Enligt 3 kap. 1 OSL innebär sekretess ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt. Enligt definitionen ska en sekretessbestämmelse överföras och även tillämpas av den myndighet som uppgiften lämnas till eller som har elektronisk tillgång till uppgiften hos den förstnämnda myndigheten. 4 kap. 1 OSL reglerar myndigheters ansvar att särskilt se till att rätten att ta del av allmänna handlingar enligt tryckfrihetsförordningen säkerställs samtidigt som sekretesskyddet upprätthålls. Enligt 4 kap. 2 OSL ska varje myndighet upprätta en beskrivning som ger information om vilka bestämmelser om sekretess som myndigheten vanligen tillämpar på uppgifter i sina handlingar. Av 4 kap. 5 OSL framgår att sekretessmarkering får göras på handlingen (fysisk handling) eller i det datasystem där handlingen hanteras. Sekretessmarkeringen ska ange tillämplig sekretessbestämmelse, datum då anteckningen gjordes samt vilken myndighet som gjort anteckningen. 4

Vidare anges i 10. kap 2 OSL att sekretess inte hindrar att en uppgift lämnas till en enskild, eller till annan myndighet, om det är nödvändigt för den utlämnande myndigheten att fullgöra sin verksamhet. 3.3. Skatteverkets vägledning för hantering av sekretessmarkerade personuppgifter i offentlig förvaltning Av Skatteverkets vägledning framkommer att sekretessmarkerat underlag inte bör lämnas ut utan en särskild sekretessprövning. Efter prövningen kan uppgiften komma att lämnas ut. Således råder med andra ord ingen absolut sekretess. Personuppgifter med sekretessmarkering aviseras från Skatteverket till andra myndigheter. Mottagande myndighet väljer själv hur den ska hantera sekretessmarkerade personuppgifter i sina system. I vägledningen anges att det inte finns några rättsliga regler för hanteringen. Det framgår, enligt Skatteverket, inte av själva sekretessmarkeringen vilken uppgift om personen som kan vara skyddsvärd. OSL är enligt Skatteverkets vägledning utformad med regler för särskilda verksamhetsområden. Följande anges i Skatteverkets vägledning: Den ligger ett ansvar på den enskilde att själv upplysa om eventuell sekretessmarkering eftersom det inte åligger en myndighet att utan anledning kontrollera om en person har sekretessmarkering i folkbokföringen. Varje myndighet bör utforma sina rutiner utifrån en egen riskbedömning av de sekretessmarkerade personuppgifter som myndigheten behandlar, samt konsekvensen av om dessa kommer obehörig person tillhanda. Myndigheter inom samma verksamhetsområde bör kunna ha gemensamma anvisningar för hanteringen av sekretessmarkerade personuppgifter. IT-stödet bör utformas så att endast ett fåtal personer med särskild behörighet har tillgång till sekretessmarkerade personuppgifter. För en handläggare som har behörighet att ta del av sekretessmarkerade personuppgifter bör det på ett tydligt och enhetligt sätt framgå att uppgifterna är sekretessmarkerade. Det bör finnas enhetliga och säkra rutiner för att kommunicera med och om personer med sekretessmarkerade personuppgifter. Myndigheten bör se till att personal som hanterar sekretessmarkerade personuppgifter har goda kunskaper om systemet med sekretessmarkerade personuppgifter. Det bör vara möjligt att i efterhand kontrollera vilka handläggare som har tagit del av sekretessmarkerade personuppgifter. Varje myndighet bör regelbundet följa upp att dess regler och rutiner kring sekretessmarkerade personuppgifter efterlevs och respekteras inom myndigheten. 3.4. Personuppgiftslagen Enligt personuppgiftslagens 8 (PUL) tillämpas inte bestämmelserna i PUL i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. 5

27 PUL samt 42 PUL anger att en personuppgiftsansvarig får vägra att lämna ut uppgifter till den registrerade, i enlighet med OSL. 3.5. Socialtjänstlagen Av socialtjänstlagen (SoL) framgår att de bestämmelser som avser utlämningar av sekretessbelagda uppgifter, och begränsningar i utlämnande till följd av dessa, regleras i OSL. 26 kap. OSL reglerar sekretess till skydd för enskild inom socialtjänst och därmed jämställd verksamhet. Av 26 kap. 1 SoL framgår att sekretess gäller inom socialtjänsten för uppgift om enskilds personliga förhållanden, om det inte står klart att uppgifter kan röjas utan att den enskilde eller någon närstående till denne lider men. 3.6. Socialstyrelsens Sekretess och tystnadsplikt inom socialtjänsten och hälso- och sjukvården Behörighetsstyrning av elektronisk åtkomst till personuppgifter inom socialtjänsten bland annat regleras av bestämmelserna SoL. Tilldelade behörigheter ska enligt dessa bestämmelser motsvara befattningshavarens aktuella arbetsuppgifter. Därför behövs väl avpassade rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheter. Socialstyrelsen hänvisar till att Datainspektionen anger att den utlämnande myndigheten behöver ha en rutin för att avskilja uppgifterna så att mottagaren inte kan få del av andra personuppgifter än de som ingår i utlämningsbeslutet. 3.7. Datainspektionens checklista för skolor Datainspektionen har tagit fram en checklista som kort sammanfattar några av de viktigaste punkterna som skolor måste tänka på när de behandlar personuppgifter. Observera att checklistan är generell, och omfattar således samtlig hantering av personuppgifter. Följande kan utläsas ur checklistan: Om det finns ett fritextfält måste det finnas tydliga skriftliga instruktioner till användarna om vad som får skrivas i fritextfältet Om det i samband med närvarorapportering registreras att elevens frånvaroorsak är sjukdom måste vårdnadshavarens eller elevens samtycke till registreringen inhämtas. Om skolans IT-system är tillgängligt via Internet, och systemet innehåller integritetskänsliga uppgifter, krävs det särskild gott IT-stöd. Det innebär att skolan måste försäkra sig om att det verkligen är rätt personer som får åtkomst till uppgifterna och att överföringen sker på ett säkert sätt. Skolan måste använda sig av stark autentisering (exempelvis engångslösenord eller e-legitimation). Personuppgiftsbiträdesavtal måste upprättas med systemleverantörer som sköter drift och lagrar skolan personuppgifter. Leverantören är skyldig att upprätthålla god IT-säkerhet enligt skolans upprättade instruktioner. Det är enligt Datainspektionen viktigt att skolan bara sparar uppgifter som verkligen behövs för verksamheten. Därför rekommenderas att skriftliga riktlinjer och rutiner för bevarande och gallring tas fram. 6

Skolorna måste informera elever eller vårdnadshavare om hur deras personuppgifter behandlas i IT-systemen. Den registrerade har rätt att ansöka om information och begära rättelse. Bara den anställde som behöver personuppgifterna i sitt arbete får ta del av dem. Det innebär att skolan, enligt Datainspektionen, måste införa begränsningar i läsoch skrivmöjligheterna i sina IT-system. Det är ofta lämpligt att både ha interna skriftliga regler i skolan för vilken anställd som får läsa vad och att införa tekniska begränsningar av läs- och skrivmöjligheterna. Skolan har ansvaret för att säkerställa att det inte finns möjlighet för obehöriga att ta del av uppgifter i skolhälsovårdens elektroniska journalsystem. Endast anställda som deltar i vården av en elev ska kunna ta del av uppgifter om en patient. 4. Granskningsresultat I detta avsnitt presenteras svaren på respektive revisionsfråga. 4.1. Är ansvars- och arbetsfördelningen tydlig? 4.1.1. Humanistiska nämnden och omsorgsnämnden Av omsorgsnämndens reglemente (2016-05-30, 100) framgår att nämnden ansvarar för att uppgifter inom socialtjänsten fullgörs inom verksamhetsområdet. Av humanistiska nämndens reglemente (2013-12-16, 199) framgår att nämnden ansvarar för att uppgifter inom socialtjänsten fullgörs inom verksamhetsområdet. Således är nämnderna ytterst ansvariga för att säkerställa hantering av skyddade personuppgifter inom sina verksamhetsområden. Avdelningen för social utredning har en rutin för hantering av skyddade personuppgifter (rev. 2017-12-06). Enligt dokumentet omfattas samtliga anställda inom social utredning av rutinen. Rutinen beskriver olika typer av sekretessmarkerade uppgifter, samt hur förmedling av post med sekretessbelagda uppgifter ska ske vid behov. Vidare anges i rutinen en beskrivning av hur IT-stödet fungerar, hur kommunikation ska ske med enskild samt hur dokumentation ska genomföras. Utöver detta finns en beskrivning av hur extern samverkan ska ske i förekommande fall. Intervjuade uppger att det inte finns några oklarheter i roller och ansvar avseende hantering av sekretessbelagda uppgifter. Vidare framkom vid intervjuer att sekretessmarkerade uppgifter kan förekomma i samtliga enheter inom social utredning (vilket omfattar ca 120 medarbetare), vilket innebär att samtliga medarbetare måste förhålla sig till gällande styrande dokument. På Örnsköldsviks kommuns intranät finns en blankett avseende sekretess för Välfärdsförvaltningens som samtliga nyanställda ska skriva under. Av blanketten framgår att den anställde vid underskrift försäkrar att hen delgivits information om bestämmelser i OSL. 7

4.1.2. Bildningsnämnden Av bildningsnämndens reglemente (2010-12-20, 213) framgår att bildningsnämnden fullgör uppgifter enligt skollagen. Således är nämnden ytterst ansvarig för att säkerställa hantering av skyddade personuppgifter inom sitt verksamhetsområde. Riktlinjer gällande hantering av barn och elever med skyddade personuppgifter (fastställd 2014-04-30, reviderat 2015-08-27) är framtagna inom bildningsförvaltningen. Riktlinjerna innehåller en beskrivning som anger vad som avses med skyddade personuppgifter (sekretessmarkering, kvarskrivning och fingerade personuppgifter) samt att sekretessprövning måste göras vid varje tillfälle skyddade personuppgifter efterfrågas. I riktlinjerna anges följande om ansvarsfördelningen: Den enskilde har själv ett ansvar att upplysa om eventuell sekretessmarkering, eftersom det inte åligger en myndighet att utan anledning kontrollera om en enskild har en sekretessmarkering i folkbokföringen. Rektor ansvarar för att all nödvändig information lämnas till klasslärare eller elevhälsa på skolan/rektorsenheten. Inom förskola ansvarar förskolechefer för att all nödvändig information lämnas till personalen i förskolan. Ansvarig på skolenheten måste manuellt registrera elevens personuppgifter hos CSN för att studiebidrag ska kunna utbetalas. På Örnsköldsviks kommuns hemsida finns en blankett avseende tystnadsplikt och sekretess inom förskola, skola och skolbarnomsorg. Blanketten fungerar som ett tystnadspliktsbevis och riktar sig till samtliga anställda inom förvaltningen för att säkerställa elevers personliga skydd för sin integritet enligt OSL. Av blanketten framgår att uppgifter om en enskilds personliga förhållanden ska skyddas. Av blanketten framgår inte på vilken nivå den är fastställd, eller när den fastställts. Intervjuade beskriver att ansvar och roller för hantering av sekretess och skyddade personuppgifter inom bildningsförvaltningen upplevs som tydlig. 4.1.3. Bedömning Vi bedömer att ansvars- och arbetsfördelning inom omsorgsnämnden och humanistiska nämnden är tydlig. Bedömningen baseras på att det finns styrande dokument som reglerar medarbetares ansvar, samt att det finns ett uttalat ansvar för varje enskild medarbetare att förhålla sig till bestämmelser om sekretess. Vi bedömer vidare att ansvars- och arbetsfördelningen inom bildningsnämnden är tydlig. Bedömningen baseras på att det finns riktlinjer som tydliggör ansvar för medarbetare inom förvaltningen samt att det finns dokumentation som styrker att samtliga anställda ska förhålla sig till bestämmelser om sekretess. 4.2. Finns tillräckliga riktlinjer och rutiner för att hindra att skyddade identiteter röjs eller hanteras med risker? 4.2.1. Humanistiska nämnden och omsorgsnämnden Av humanistiska nämndens respektive omsorgsnämndens verksamhetsplaner för 2017 framgår inget specifikt som behandlar sekretess eller hantering av känsliga uppgifter. 8

Vi har tagit del av följande dokument från välfärdsförvaltningen avseende sekretess och skyddade identiteter: Rutin för hantering av skyddade personuppgifter Rutin för att göra förhandsbedömningar, utredningar och beslut vid våld i nära relationer Rutin för samarbete i ärenden som kan beröra flera enheter Rutin för vidarebefordran av ansökan/anmälan som kommit till fel mottagning Vägledning och rutin för utlämnande av allmän handling Rutin för kontroll av åtkomst till patientuppgifter i patientjournalen och NPÖ (Omsorg) Samtliga dokument är fastställda inom förvaltningsnivå och således inte politiskt fastställda. Medarbetare inom välfärdförvaltningen tillämpar en rutin för förhandsbedömningar, utredningar och beslut för våld i nära relationer (rev. 2018-01-10). Intervjuade beskriver att denna rutin relativt ofta är tillämplig i fall där skyddade personuppgifter förekommer. Syftet med rutinen är att tydliggöra vilken enhet/grupp inom avdelning för social utredning som ansvarar för att genomföra förhandsbedömningar för ärenden med koppling till våld i nära relationer. Rutinen beskriver ärenden av olika karaktär och redogör för vilken enhet som bör hantera ärendet vid förekommande fall. Intervjuade beskriver att de rutiner och riktlinjer som finns i huvudsak är tillräckliga och täcker väsentliga områden. Den vägledning som tagits fram för utlämnande av allmän handling inom Välfärdsförvaltningen är omfattande och anger på ett övergripande sätt frågor kring utlämnande av allmänna handlingar. För att utifrån vägledningen tydliggöra samarbetet mellan avdelningarna Social utredning och Utveckling och Internt stöd är en rutin under framtagande, enligt intervjuade. Den rutinen kommer bland annat att innehålla vägledning kring hur medarbetare kan bemöta enskilda som ringer för att efterfråga personuppgifter via telefon. Efter fastställande (förvaltningsnivå) kommer rutinen att delges samtliga berörda medarbetare, beskriver intervjuade. 4.2.2. Bildningsnämnden Vi har tagit del av följande dokument avseende sekretess och skyddade identiteter: Riktlinjer gällande hantering av barn och elever med skyddade personuppgifter. Försäkran om tystnadsplikt och sekretess Rutin för journalhantering Rutin för åtkomstloggar Riktlinjerna uppges vara heltäckande inom det område över vilket bildningsförvaltningen förfogar över. I riktlinjerna anges att all hantering av skyddade personuppgifter görs manuellt (fysisk hantering) och att skyddade uppgifter inte hanteras i något IT-system. Av intervjuer framkom att förvaltningen har gjort bedömningen att befintligt IT-system inte är tillräckligt säkert för att hantera uppgifterna digitalt. Av riktlinjerna framgår hur olika delar av skolverksamheten omfattas av gällande lagkrav kring sekretess. Vidare finns även en handlingsplan som beskriver hur sekretessbelagda uppgifter kan hanteras i specifika fall. Handlingsplanen innehåller: uppgifter om skydd 9

uppgifter om vem som bör informeras om elevens situation, samt hur mycket information som ska lämnas hur kontakt mellan skolverksamhet och vårdnadshavare/myndig elev ska ske uppgifter stöd och hälsa hur vissa praktiska frågor i verksamheten kan hanteras Riktlinjerna innehåller utöver detta en mall för checklista när hot eller våld inträffar. Intervjuade beskriver att det finns ett behov av att uppdatera riktlinjerna. Mot bakgrund av ett större arbete med införandet av GDPR, där förvaltningen tar samlat grepp kring personuppgiftshantering, kan det vara aktuellt att se över utformningen av denna riktlinje. Ingen av dessa vägledande dokument har beslutats av bildningsnämnden. 4.2.3. Bedömning Vi bedömer att humanistiska nämnden och omsorgsnämnden i viss utsträckning säkerställt att det finns riktlinjer och rutiner för att hindra att skyddade identiteter röjs eller hanteras med risker. Bedömningen baseras på att det saknas avsnitt i rutinerna som reglerar uppföljning och kontroll. Vi noterar att det inom omsorgsnämndens verksamheter (HSL) finns en rutin för kontroll av åtkomst till personuppgifter, och att motsvarande rutin i dagsläget saknas inom humanistiska nämndens ansvarsområde. Vi bedömer att bildningsnämnden i viss utsträckning säkerställt att det finns riktlinjer och rutiner för att hindra att skyddade identiteter röjs eller hanteras med risker. Bedömningen baseras på att det saknas avsnitt i riktlinjerna som reglerar uppföljning och kontroll. Vidare noterar vi att det inom bildningsförvaltningen inte finns något system som möjliggör för digital hantering av skyddade personuppgifter. Mot bakgrund av de krav på digitalisering som kommuner står inför bör nämnden överväga att beakta denna möjlighet när upphandling aktualiseras. För de granskade nämnderna noterar vi att det inte finns något nämndsbeslut som fastställer styrande dokument inom området. Detta bedömer vi, mot bakgrund av områdets karaktär samt de betydande konsekvenser som kan uppstå vid bristande hantering, vara en brist. 4.3. Finns säkra rutiner för att kommunicera med och om personer med skyddad identitet? 4.3.1. Humanistiska nämnden och omsorgsnämnden I välfärdsförvaltningens rutin för skyddade personuppgifter anges att det säkraste sättet att kommunicera med en enskild är genom manuell posthantering. Posthantering sköts enligt rutinen genom Skatteverkets förmedlingsuppdrag. I rutinen beskrivs dock att enskilda ofta upplever att manuell posthantering medför fördröjningar i kommunikationen. Vid andra skriftliga kontakter än manuell post, anges att specifika ärendefrågor inte får lämnas. Anställda kan vid behov underlätta handläggningen genom muntlig telefonkontakt. För att hämta handlingar i receptionen hos socialtjänsten måste giltig legitimation uppvisas av säkerhetsskäl. Enligt rutinen är det inte tillåtet att kommunicera genom e-post i fråga om uppgifter som omfattas av sekretess. 10

I granskningen har vi inte tagit del av underlag som styrker att kontroller för att säkerställa efterlevnaden av rutinen har genomförts. 4.3.2. Bildningsnämnden I bildningsförvaltningens Riktlinjer gällande hantering av barn och elever med skyddade uppgifter anges följande angående kontakt med enskilda: Vid telefonkontakt är det viktigt att säkerställa vem som svarar, exempelvis genom att motringa. Vid kvarskrivning ska posthantering skötas genom Skatteverkets förmedlingsservice. Detta gäller inom skolan/rektorsenheten. Vid telefonkontakt är det viktigt att säkerställa vem som svarar, exempelvis genom att motringa. Vid kvarskrivning ska posthantering skötas genom Skatteverkets förmedlingsservice. Detta gäller även inom förskola/förskoleadministrationen. När en remiss ska skicka ska information lämnas som tydligt anger att personuppgifterna är skyddade. Hur elev ska kontaktas kommuniceras genom telefon eller skriftligen. Detta gäller personal inom skolhälsovården. Som bilaga i riktlinjerna finns en mall för handlingsplan, som ska tillämpas i respektive ärende. Ett avsnitt i handlingsplanen anger hur kontakt mellan verksamhet och vårdnadshavare/myndig elev ska ske. Intervjuade beskriver att det för respektive fall görs en individuell bedömning i hur kontakt ska skötas på det sätt som är mest lämpligt för den enskilde. I granskningen har vi inte tagit del av underlag som styrker att kontroller för att säkerställa efterlevnaden av handlingsplaner har genomförts. 4.3.3. Bedömning Vi bedömer att humanistiska nämnden, omsorgsnämnden och bildningsnämnden har tillräckliga rutiner för att kommunicera med och om personer med skyddad identitet. Vi noterar dock att ingen av dessa nämnder har rutiner som säkerställer att efterlevnaden av givna arbetssätt kontrolleras. Detta bedöms vara en brist. 4.4. Görs riskbedömning av hantering av personuppgifter från fall till fall? 4.4.1. Humanistiska nämnden och omsorgsnämnden I rutinen för hantering av skyddade personuppgifter beskrivs bland annat de olika typerna av sekretessbelagda uppgifter (sekretessmarkering, kvarskrivning och fingerade personuppgifter) och dess innebörder. Enligt rutinen kan det tolkas som att de olika sekretesskategoriseringarna innefattar olika hög risk. Vid intervjuer beskrivs att riskbedömningar görs utifrån en individuell bedömning. Vidare beskriver intervjuade att när det förekommer skyddade personuppgifter måste handläggaren och den enskilde hitta vägar för kommunikation som upplevs som trygga för den enskilde, med hänsyn till risknivån. Av de rutinerna som tillhandahållits från välfärdsförvaltningen framgår inte huruvida rutinerna i grunden är utformade utifrån en riskbedömning för hantering av sekretessmarkerade 11

uppgifter. Ej heller beskrivs konsekvensen av att uppgifterna kommer obehörig person tillhanda, vilket rekommenderas i Skatteverkets vägledning. 4.4.2. Bildningsnämnden Av Riktlinjer gällande hantering av barn och elever med skyddade personuppgifter anges i tillhörande handlingsplan hur risker för den enskilde ska hanteras. Företrädare för skolan ska fylla i om det finns några särskilda risker som verksamheten måste beakta, samt om det är något personal i synnerhet måste vara uppmärksamma på. Om verksamheten bedömer att det finns särskilda risker ska en riskinventering göras, enligt handlingsplanen. Handlingsplanen (som återfinns i riktlinjerna) beskriver vilka uppgifter en kontaktperson ska ha, om kodord krävs eller hur vårdnadshavare/kontaktperson ska göra en sjukanmälan. I formuläret ska även anges hur skolan ska kommunicera till vårdnadshavare vid behov, samt hur vårdnadshavare ska kontakta skolan vid behov med hänsyn till rådande risk. Intervjuade beskriver att det görs en individuell bedömning från fall till fall, vid hantering av skyddade personuppgifter. Enligt uppgift är hanteringen begränsad till ett fåtal personer. 4.4.3. Bedömning Vi bedömer att humanistiska nämnden och omsorgsnämnden i tillräcklig utsträckning säkerställt att riskbedömningar görs utifrån en individuell prövning. Det finns dock, enligt oss, utrymme att förtydliga detta i styrdokument. Vi bedömer att bildningsnämnden i tillräcklig utsträckning säkerställt att riskbedömningar görs utifrån en individuell prövning. Vår bedömning baseras på att det inom bildningsförvaltningen finns dokumentation som tar hänsyn till risker som vid hantering av personuppgifter anges i specifika fall. 4.5. Är åtkomsten till skyddade personuppgifter tydligt begränsad? 4.5.1. Humanistiska nämnden och omsorgsnämnden Procapita IFO och Procapita VoO Inom välfärdsförvaltningens verksamheter hanteras sekretessbelagt material och skyddade personuppgifter i systemet Procapita. Inom välfärdsförvaltningen används två system, Procapita IFO (SoL/LSS) respektive Procapita VoO (SoL/LSS/HSL). Det förekommer även fysisk hantering av sekretessbelagt material utanför Procapita t.ex. via akthantering i närarkiv, samt i viss grad utskrifter av uppgifter från Procapita. Generellt råder sekretess för samtliga ärenden som hanteras inom social utredning, enligt socialtjänstlagen. Enligt företrädare för välfärdsförvaltningen tillhandahålls information om folkbokförda personer genom Skatteverkets kommuninvånarregister (KIR) direkt till Procapita. Enligt rutinen för hantering av skyddade personuppgifter uppdateras informationen genom en körning från KIR var åttonde dag. Om uppgifter innehåller sekretessmarkeringar anges det direkt av KIR. Endast i undantagsfall förekommer det att filer markeras med sekretess manuellt i Procapita. Det görs om det finns behov av att registrera ett ärende mycket skyndsamt, innan uppdatering från KIR görs. I Procapita IFO framgår mycket tydligt om ett ärende är belagt med sekretessmarkering. 12

Samtliga medarbetare har via det fysiska närarkivet för IFO tillgång till de akter som finns där. I Procapita IFO finns enligt intervjuade i viss mån avgränsade behörighetsroller. Inom Procapita VoO uppger intervjuade att det finns tydliga avgränsningar mellan lagrummen (HSL/LSS/SoL). Intervjuade beskriver att det finns en mycket stor medvetenhet om att anställda inte får ta del av uppgifter i ärenden som de själva inte handlägger. Behörigheter i systemen Intervjuade beskriver att det finns en viss otydlighet i hantering av behörigheter till Procapita. Synpunkter avser bland annat bristande rutiner vid beställning av behörigheter samt avslut av behörigheter. Enligt uppgift får IT-utvecklare löpande listor från IT-avdelningen med behörigheter i syfte att stämma av dessa mot befintliga register. Bland annat beskrivs att processen från att en beställning på behörighet görs till avslut av behörighet inte är helt sammanhållen. En viss eftersläpning beskrivs i avslut av behörigheter. Intervjuade beskriver vidare att det inte är helt tydligt hur arbetsgången ska se ut när en anställd flyttas mellan enheter, som exempel. Framöver ska enligt uppgift ett nytt personalsystem användas, som beskrivs göra det lättare för IT-avdelningen att hantera behörigheter. Bland annat finns en förhoppning om att förenkla för enhetschefer att se en lista på sina anställda i systemet. 4.5.2. Bildningsnämnden Av bildningsförvaltningens Riktlinjer gällande hantering av barn och elever med skyddade personuppgifter framgår följande exempel på begränsningar: Uppgifterna får endast hanteras manuellt (fysisk hantering) All dokumentation måste förvaras väl skyddad, särskiljas från övriga akter och ha en tydlig sekretessmarkering Ingen dokumentation får lämna elektroniska spår Bestämmelser kring var skyddade personuppgifter absolut inte får förekomma Den praktiska hanteringen är mycket begränsad, uppger intervjuade. Det är endast de personer som i sin anställning behöver kännedom elevens förhållande som vet huruvida skyddade personuppgifter föreligger. Av säkerhetsskäl föreligger stor restriktivitet kring spridningen av dessa uppgifter. Enligt intervjuade förvaras journalerna i låsta arkiv med mycket begränsad åtkomst. Nycklar till arkiven förvaras på ett sådant sätt att de inte är åtkomliga för obehöriga. Enligt uppgift finns det ingen rutin som beskriver tillvägagångssättet om en nyckel till de låsta arkiven skulle förloras. Vidare anges i riktlinjerna att det i kommunens arkiv vidtas särskilda åtgärder för att skydda elevakter (även skolhälsovårds- och psykolog- samt kuratorsanteckningar) med skyddade personuppgifter vid slutarkivering. 4.5.3. Bedömning Vi bedömer att humanistiska nämnden och omsorgsnämnden inte säkerställt att åtkomsten till skyddade personuppgifter är tydligt begränsad. Bedömningen baseras på att det i stor utsträckning saknas begränsningar i systemet Procapita som hindrar anställda från att ta del av ärenden som den anställde inte handlägger. Det är dock positivt att systemet möjliggör för loggning av aktivitet, och vi bedömer att det är betydande att rutiner för kontroller av loggning tillämpas på ett systematiskt sätt och utformas där det saknas. 13

Vi bedömer att bildningsnämnden i tillräcklig utsträckning säkerställt att åtkomsten till skyddade personuppgifter är tydligt begränsad. Bedömningen baseras på att tillgången är fysisk begränsad, samt att nyckel till arkiv förvaras oåtkomligt för obehöriga. Om en nyckel mot förmodan skulle förloras, finns enligt intervjuade ingen rutin för hur detta ska hanteras. 4.6. Framgår tydligt i de fall personuppgifter är skyddade? 4.6.1. Humanistiska nämnden och omsorgsnämnden Enligt rutiner får välfärdsförvaltningen information om folkbokförda genom Skatteverkets kommuninvånarregister (KIR). Uppgifterna överförs direkt från Skatteverket och av dessa framgår omedelbart huruvida uppgifterna omfattas av sekretess. Procapita IFO och Procapita VoO uppdateras, som tidigare konstaterat, regelbundet med KIRs uppgifter där det är tydligt att ett ärende är sekretessmarkerat. Detta bekräftas av rutiner som tillhandahållits av förvaltningen. Vidare anges i rutiner att det på ett tydligt sätt ska framgå att fysiska ärendefiler ska ha en sekretessmarkering. 4.6.2. Bildningsnämnden Enligt riktlinjerna får bildningsförvaltningen information om folkbokförda genom Skatteverkets kommuninvånarregister (KIR) i det Procapita som används inom bildningsnämndens ansvarsområde. Uppgifterna överförs direkt från Skatteverket och av dessa framgår omedelbart huruvida uppgifterna omfattas av sekretess. När det upptäcks i Procapita att ett ärende är sekretessmarkerat avslutas ärendet omedelbart och övergår till fysisk hantering (manuella journaler). Inom bildningsförvaltningen har ansvariga gjort en bedömning att det Procapita som hanteras inom bildningsnämndens ansvarsområde inte är tillräckligt säkert att hantera skyddade uppgifter elektroniskt. Vidare anges i riktlinjerna att det på ett tydligt sätt ska framgå att manuella filer ska ha en sekretessmarkering. Det anges för samtlig dokumentation inom skolverksamheten. 4.6.3. Bedömning Vi bedömer att humanistiska nämnden och omsorgsnämnden genom system och rutiner i tillräcklig utsträckning säkerställt att det på ett tydligt sätt framgår huruvida personuppgifter är skyddade. Vi bedömer att bildningsnämnden genom system och riktlinjer i tillräcklig utsträckning säkerställt att det på ett tydligt sätt framgår huruvida personuppgifter är skyddade. 4.7. Har överföring och spridning av skyddade personuppgifter mellan IT-system kontrollerats? 4.7.1. Humanistiska nämnden och omsorgsnämnden I rutinen för hantering av skyddade personuppgifter (inom social utredning) anges hur samverkan externt ska ske. Bland annat anges att information till berörda utanför förvaltningen ska ges, där det tydligt framgår att ärendet är sekretessbelagt samt redogöra för innebörden av den. Rutinen anger att det ska göras en individuell bedömning av huruvida 14

handlingar ska vidarebefordras och på vilket sätt. Vidare framgår av rutinen att det vid kontakt med andra myndigheter kan vara viktigt att motringa för att säkerställa att skyddet inte röjs. För överföring mellan de två tillämpliga Procapita-systemen (IFO respektive Omsorg) görs en enskild bedömning om hur överlämning av uppgifter ska göras i förekommande fall. Systemen kan enligt intervjuade inte kommunicera med varandra, men det förekommer att det i ett ärende kan fattas ett beslut i det ena systemet som ska verkställas i det andra systemet. Handläggare inom Procapita VoO använder även systemet Prator, för samverkan med Landstinget Västernorrland. För samverkan i Prator krävs enligt intervjuade tillgång till SITHS-kort 1. Företrädare för välfärdsförvaltningen beskriver att Procapita VoO är kopplat till ett planeringssystem inom hemtjänsten. I fall där det förekommer sekretessbelagda uppgifter hos en brukare vidtas åtgärder för att minimera risken att uppgifterna hanteras av obehörig. En åtgärd kan vara att i planeringssystemet minska antalet medarbetare som har access till brukaren. Vidare anges enligt intervjuade att uppgifter om adress inte fylls i om det finns en sekretessmarkering. I granskningen har vi inte haft möjlighet att kontrollera uppgifterna. Ledamöter som hanterar handlingar i humanistiska nämndens socialutskott får beslutsunderlag hemskickade per post inför sammanträden. Det kan förekomma att dessa underlag innehåller skyddade personuppgifter, beskriver intervjuade. Den enskilde ledamoten ansvarar för handlingarna och ska vid sammanträdet lämna ifrån sig handlingarna till nämndsekreteraren i samband med sammanträdet. Intervjuade beskriver att det förts en diskussion kring att se över hanteringen att dessa underlag. Intervjuade beskriver att handlingar som innehåller skyddade personuppgifter från och med mars 2018 istället delges ledamöter under sammanträdet. Det finns en elektronisk sammanträdesmodul med dubbel autentisering som används av samtliga övriga nämnder som bedöms vara säker av företrädare för förvaltningen. I akuta fall, där det krävs att ledamöter i socialutskottet snabbt fattar beslut, används en krypterad e-signeringstjänst. E-signeringstjänsten bedöms som mycket säker, enligt företrädare för förvaltningen. 4.7.2. Bildningsnämnden För bildningsnämndens verksamhetsområde är frågan ej tillämplig, då det enligt uppgift inte sker någon överföring av uppgifter mellan IT-system. I bildningsförvaltningens rutin för journalhantering beskrivs att vid fysiskt utlämnande av personuppgifter som kräver sekretessbedömning, ska bedömningen och eventuellt utlämnande dokumenteras. I rutinen anges vidare att sekretess även gäller mot vårdnadshavare, om det kan antas att eleven lider betydande men om uppgiften röjs till vårdnadshavare. Överföring av fysiska journaler sker mycket sällan, enligt intervjuade. I förekommande fall görs det personligen om det är möjligt, eller genom Skatteverkets förmedlingstjänst. Enligt intervjuade är det chef för respektive område som ska säkerställa att eventuell överföring av uppgifter hanteras korrekt. 1 SITHS är en identifieringstjänst som kontrollerar en persons identitet genom tvåfaktorsautentisering. 15

I granskning har vi noterat att det förekommit vissa oklarheter i samverkan med andra verksamheter inom kommunen. Oklarheterna har enligt intervjuade inneburit att bildningsförvaltningen inte kunnat säkerställa hur skyddade uppgifter hanterats efter samverkan med externt upphandlade utförare. 4.7.3. Bedömning Överföring och spridning av skyddade personuppgifter mellan IT-system förekommer i liten utsträckning inom humanistiska nämndens och omsorgsnämndens ansvarsområde. För övrig form av överföring bedömer vi att humanistiska nämnden i viss utsträckning har säkerställt att skyddade personuppgifter överförs och sprids på ett tillräckligt sätt. Bedömningen baseras på att det, i förekommande fall, inte går att kontrollera hur handlingar med skyddade personuppgifter hanteras som beslutsunderlag i samband med utskick till socialutskottet. Detta bedömer vi vara en brist. För omsorgsnämnden är vår bedömning att det kan förekomma överföring och spridning av uppgifter mellan system. Av granskningen kan vi inte styrka att kontroller av denna överföring görs. Inom bildningsnämndens ansvarsområden uppges elektroniskt överföring i system i stort sett vara obefintlig. Vi bedömer att det finns vissa oklarheter som utgör anledning att se över rutiner för samverkan med externt upphandlade aktörer. 4.8. Har tillräckligt hög IT-säkerhet säkerställts? 4.8.1. Humanistiska nämnden och omsorgsnämnden Procapita VoO kräver enligt intervjuade tvåfaktorsautentisering vid inloggning oavsett inloggningsplats. Övriga Procapita produkter har enkel autentisering. Vidare ställs krav på lösenordsbyte i 90-dagarscykler, vilket beskrivs som positivt ur ett säkerhetsperspektiv. En brist som har lyfts till IT-strateger uppges vara avsaknaden av krypteringsfunktion i Outlook. Företrädare inom förvaltningen med anknytning till IT-frågor beskriver att det är svårt att uttala sig huruvida IT-säkerheten är tillräcklig. Detta då området ideligen utvecklas och är föremål för möjliga ständiga förbättringar. 4.8.2. Bildningsnämnden Bildningsförvaltningens rutiner anger tydligt att sekretessmarkerade uppgifter inte ska hanteras elektroniskt i varesig Procapita eller journalsystemet. Detta då Procapita, som används inom bildningsnämndens ansvarsområde, inte bedömts tillräckligt säkert av förvaltningen. 4.8.3. Bedömning Inom ramen för granskningen har vi inte testat IT-säkerheten i de system som används inom välfärdsförvaltningen. I granskningen har vi ställt frågor om IT-säkerhet till berörda tjänstepersoner i förvaltningen. Från intervjuer har vi inte tagit del av uppgifter som indikerar 16

väsentliga brister. Avsaknad av underlag som verifierar tjänstepersoners uttalanden om ITsäkerheten medför att vi i granskningen väljer att inte bedöma huruvida säkerheten är tillräcklig. En bedömning av IT-säkerhetens tillräcklighet inom bildningsförvaltningen blir inte aktuell då förvaltningen inte hanterar skyddade personuppgifter i IT-system. Detta då tjänstepersoner själva gjort bedömningen för bildningsförvaltningen beskriver att deras IT-system inte har tillräckligt hög IT-säkerhet för att hantera skyddade personuppgifter. 4.9. Har tillräcklig information och utbildning av aktuell personal säkerställts? 4.9.1. Humanistiska nämnden och omsorgsnämnden Intervjuade beskriver en stor medvetenhet kring vikten av korrekt hantering av sekretessbelagda uppgifter. Enligt företrädare för välfärdsförvaltningen ingår det i de anställdas yrkesroll att oavsett sekretessmarkering hantera uppgifter i enlighet med gällande lagkrav och yrkesprofession. Inom social utredning finns ärendehandledare på varje enhet. Ärendehandledaren har i uppgift att vid behov stötta och informera medarbetare. Intervjuade beskriver att rollen som ärendehandledare till viss del har en utbildande funktion. Stödet kan ges i grupp eller enskilt. Ett värdegrundsarbete pågår i ledningsgruppen, enligt intervjuade, vilket beskrivs ha en indirekt effekt på anställdas fokus kring hantering av sekretess och yrkesprofessionaliteten. Vidare uppges att externa konsulter har anlitats i utbildningssyfte. Frågan om våld i nära relationer har lyfts på temadagar i syfte att skapa en större medvetenhet inom området. Enligt uppgift är hantering av skyddade personuppgifter ett område som aktualiseras vid utbildning om våld i nära relationer. 4.9.2. Bildningsnämnden I den utsträckning sekretessbelagda uppgifter förekommer inom skolan, ges information och utbildning till den personal som har behov av att hantera uppgifterna. Intervjuade beskriver att det inte finns någon återkommande utbildning inom området till berörd personal. Två anställda inom elevhälsan beskrivs ha haft i uppdrag att arbeta med riktade utbildningsinsatser och kompetenshöja andra medarbetare, bland annat i hantering av skyddade personuppgifter. Intervjuade beskriver att utbildningsinsatser genomförs i samband med nyanställning och introduktion till arbetsplatsen. Enligt intervjuade genomförs bland annat fokusområden, som exempelvis utbildningar kring våld i nära relationer. Vid den utbildningsinsatsen aktualiserades frågan om hantering av skyddade personuppgifter, enligt intervjuade. 4.9.3. Bedömning Vi bedömer att humanistiska nämnden och omsorgsnämnden i tillräcklig utsträckning säkerställt att aktuell personal har tillräcklig information och utbildning. Av granskningen framkommer dock att det finns utrymme att ytterligare systematisera informationer och utbildning inom detta område. 17

Vi bedömer att bildningsnämnden i tillräcklig utsträckning säkerställt att aktuell personal har tillräcklig information och utbildning. Även här framkommer av granskningen dock att det finns utrymme att ytterligare systematisera informationer och utbildning inom detta område. 4.10. Är det möjligt att i efterhand kontrollera åtkomst av skyddade personuppgifter? 4.10.1. Humanistiska nämnden och omsorgsnämnden Vid intervjuer framkommer att Procapita (IFO och Omsorg) möjliggör för loggning av en användares samtliga aktiviteter. Det gäller loggning av läs- och skrivbehörigheter, samt tillkomst/radering av uppgifter. Systemet loggar båda läs- och skrivaktiviteter som anställda utför, och detta gäller samtliga ärenden i systemet, vilket även inkluderar ärenden med skyddade personuppgifter. Stickprovskontroller görs slumpmässigt och vid befarad misstanke, enligt intervjuade. Enligt uppgift har det förekommit att anställda har tagit del av ärenden som hen inte handläggare. I förekommande fall är en första åtgärd att samtala med den anställde om händelsen. I intervjuer framkommer vidare att det saknas rutiner för att kontrollera loggning av användare. Vidare har vi i granskningen fått uppgifter om att det inte finns några dokumenterade rutiner för att kontrollera anställdas loggaktivitet inom humanistiska nämndens ansvarsområde. Inom omsorgsnämndens ansvarsområde finns rutiner inom HSL. Det saknas dock inom övriga lagrum. Kontroller görs enligt uppgift regelbundet inom HSL. Kontroller görs enligt uppgift i de fall det finns misstankar om att anställda har tagit del av ärenden som denne inte handlägger. Intervjuade beskriver att det finns en medvetenhet hos anställda om att kontroller kan komma att göras. Inom båda nämndernas ansvarsområde håller rutiner på kontroller av loggaktivitet att färdigställas, enligt intervjuade. 4.10.2. Bildningsnämnden Inom bildningsförvaltningen finns alla handlingar som omfattas av sekretess och skyddade identiteter i pappersform. Det innebär att åtkomsten till handlingarna inte kan kontrolleras på motsvarande sätt som i elektroniska system. För journalsystemet finns en rutin för att kontrollera loggar för samtliga ärenden, vilket dock ej omfattar ärenden med skyddade uppgifter då dessa inte hanteras i systemet. Av rutinen framgår att åtkomstloggar kontrolleras av medicinskt ledningsansvarig skolsköterska enligt ett schema som ej är känt för användarna. Genomförda loggkontroller dokumenteras och sparas i 10 år, och obehörigt intrång ska anmälas till elevhälsochefen, enligt rutinen. I rutinen anges att obehörigt intrång kan vara att betrakta som dataintrång som ingen fullgod förklaring kan lämnas. Av dokument som tillhandahållits för granskningen framgår att journalhandlingar förvaras på ett mycket säkert sätt. Vid intervjuer framgår att det uppskattningsvis är en anställd per arkiv som har nyckel och därmed åtkomst till handlingarna. Åtkomsten är således begränsad. I granskningen kan vi inte styrka att det finns en rutin för hur anställda ska förvara nyckel till arkivlås eller dokumenterad beredskap för hur anställda ska agera om en nyckel försvinner eller upptäcks saknad. 18

4.10.3. Bedömning Vi bedömer att både humanistiska nämnden och omsorgsnämnden har förutsättningar att kontrollera vilka anställda som öppnar ärenden som de inte handlägger och därmed ska ses som obehöriga. Vi noterar dock att det saknas rutiner inom humanistiska nämndens ansvarsområde samt delar av omsorgsnämndens ansvarsområde som säkerställer att kontroller genomförs på ett systematiskt sätt, vilket vi bedömer vara en brist. Rutinerna för loggkontroll inom omsorgsnämnden avseende lagrummet HSL bedömer vi vara tillräckliga. Vi bedömer att bildningsnämndens anställda till viss del har förutsättningar att kontrollera vilka anställda som tar del av ärenden som de inte handlägger och därmed ses som obehöriga för. Bedömningen baseras på att åtkomsten till låsta arkiv är mycket begränsad till enskilda individer, vilket är positivt. Dock framgår av granskningen att det i praktiken inte går att ha kontroll över vilka som haft åtkomst till arkiven i de fall en obehörig skulle tillskansa sig en nyckel. 4.11. Sker en regelbunden uppföljning av verksamhetens följsamhet till riktlinjer och rutiner? 4.11.1. Humanistiska nämnden och omsorgsnämnden Av granskningen framgår att området inte berörs i omsorgsnämndens eller humanistiska nämndens verksamhetsplan för 2017. Området ingår inte heller i nämndernas internkontrollplan. Av granskningen framgår att hantering av skyddade personuppgifter ingår i en checklista i ledningssystemet för systematiskt kvalitetsarbete (enligt SOSF 2011:9). Ett led i det systematiska kvalitetsarbetet är att förvaltningens enhetschefer årligen ska säkra att olika processer och rutiner är kända, samt efterlevs inom verksamheterna. I en av checklistorna finns frågor om skyddade personuppgifter enligt följande: Känner du till vad du ska göra för att inte röja skyddade personuppgifter? Känner din personal till vad de ska göra för att inte röja skyddade personuppgifter? Ingår det information om vad göra för att inte röja skyddade personuppgifter vid introduktion av medarbetare? För år 2017 visar det aggregerade resultatet (samtliga enhetschefer) att samtliga enhetschefer svara ja på dessa frågor. Resultatet av det systematiska kvalitetsarbetet delges, enligt intervjuade, årligen till nämnd som en del i kvalitetsberättelsen. Av granskningen kan vi även styrka att området ingick i den kvalitetsberättelse som nämnderna tog del av för år 2016. Av de riktlinjer och rutiner som tillhandahållits för granskningen framgår att uppföljningsavsnitt som reglerar frekvens, utformning och karaktär av kontroller i stor utsträckning saknas. Av rutinerna framgår inte hur kontroller av efterlevnaden ska genomföras. Vid intervjuer framkom att uppföljning av efterlevnaden av rutinerna inte görs på ett systematiskt sätt. 19

4.11.2. Bildningsnämnden Av granskningen framgår att området inte berörs i bildningsnämndens verksamhetsplan för 2017. Området ingår inte heller i nämndens internkontrollplan. För granskningen har vi inte tagit del av underlag som styrker att uppföljningar dokumenteras och genomförs. Av de riktlinjer och rutiner som tillhandahållits för granskningen framgår att uppföljningsavsnitt som reglerar frekvens, utformning och karaktär av kontroller i stor utsträckning saknas. Vid intervjuer framkom att uppföljning av efterlevnaden av riktlinjen inte görs på ett systematiskt sätt. Intervjuade beskriver att avvikelser inom detta område inte har förekommit under de senaste åren. Vidare beskriver intervjuade att det inom bildningsförvaltningen finns anledning att se över former för systematisk uppföljning inom detta område. 4.11.3. Bedömning Vi bedömer att humanistiska nämnden och omsorgsnämnden för sina verksamheter säkerställer att regelbunden uppföljning av följsamhet till riktlinjer och rutiner görs i tillräcklig utsträckning. I granskningen kan vi dock inte styrka att området omfattas i nämndernas interna kontrollplaner. Vi bedömer vidare att bildningsnämnden för sina verksamheter inte säkerställer att regelbunden uppföljning av följsamhet till riktlinjer och rutiner görs i tillräcklig utsträckning. I granskningen kan vi inte styrka att området omfattas i nämndens interna kontrollplaner. Bristen på uppföljande kontroller bedömer vi vara allvarlig, mot bakgrund av de konsekvenser som kan uppstå för enskilda i de fall avvikelser uppstår. 5. Rekommendationer Mot bakgrund av de iakttagelser som gjorts i granskningen lämnas ett antal rekommendationer till de granskade nämnderna. Vi rekommenderar samtliga nämnder att: Säkerställa att styrande dokument inom området är heltäckande, vilket innefattar avsnitt om uppföljning och kontroll. Säkerställa att det finns en systematik i den utbildning och information som ges till anställda inom området Säkerställa att kontroller av efterlevnaden av styrande dokument görs och dokumenteras. Detta omfattar en systematisk struktur för kontroll av loggar. Säkerställ en tydlig återrapportering av kontroller till respektive nämnd. Detta för att säkerställa en ändamålsenlig struktur för intern kontroll. Vi rekommenderar humanistiska nämnden att: Överväg att förtydliga hur riskbedömningar görs och dokumenteras vid hantering av skyddade personuppgifter. Säkerställ att nämndsledamöter tar del av handlingar på ett sådant sätt som inte riskerar att skyddade uppgifter röjs. Överväg andra distributionsformer av sekretessbelagda handlingar till nämndsledamöter vid utskick av handlingar. 20

Vi rekommenderar omsorgsnämnden att: Överväg att förtydliga hur riskbedömningar görs och dokumenteras vid hantering av skyddade personuppgifter Vi rekommenderar bildningsnämnden att: Se över rutiner för samverkan som innefattar skyddade personuppgifter såväl med interna som externa aktörer Örnsköldsvik den 13 mars 2018 Johan Perols EY Petra Nylander EY 21

Bilaga 1: Källförteckning Intervjuade funktioner: Avdelningschef Social utredning Biträdande avdelningschef Social utredning Ärendehandledare och handläggare inom Social utredning Administrativ chef/personuppgiftsombud inom bildningsförvaltningen IT-utvecklare/Personuppgiftsombud inom välfärdsförvaltningen Granskade dokument: Humanistiska nämndens reglemente Omsorgsnämndens reglemente Bildningsnämndens reglemente Humanistiska nämndens verksamhetsplan 2017 Omsorgsnämndens verksamhetsplan 2017 Bildningsnämndens verksamhetsplan 2017 Protokoll Riktlinjer gällande hantering av barn och elever med skyddade personuppgifter Rutin för hantering av skyddade personuppgifter 22